Clicky

Un ataque a gran escala a la cadena de suministro distribuyó más de 800 paquetes NPM maliciosos

Ataque NPM

El atacante aprovecha una herramienta de código abierto llamada Interactsh

Se ha vinculado un actor de amenazas denominado "RED-LILI" a una campaña de ataque a gran escala a la cadena de suministro en curso dirigida al repositorio de paquetes NPM mediante la publicación de casi 800 módulos maliciosos.

"Habitualmente, los atacantes usan una cuenta NPM desechable anónima desde la cual lanzan sus ataques", dijo la compañía de seguridad israelí Checkmarx. "Como parece esta vez, el atacante ha automatizado completamente el proceso de creación de cuentas NPM y ha abierto cuentas dedicadas, una por paquete, lo que hace que su nuevo lote de paquetes maliciosos sea más difícil de detectar".

Los hallazgos se basan en informes recientes de JFrog y Sonatype, que detallaron cientos de paquetes de NPM que aprovechan técnicas como la confusión de dependencias y los errores tipográficos para apuntar a los desarrolladores de Azure, Uber y Airbnb.

Según un análisis detallado del modus operandi de RED-LILI, se dice que la evidencia más temprana de actividad anómala ocurrió el 23 de febrero de 2022, con el grupo de paquetes maliciosos publicados en "ráfagas" en el lapso de una semana.

Específicamente, el proceso de automatización para cargar las bibliotecas no autorizadas en NPM, que Checkmarx describió como una "fábrica", implica el uso de una combinación de código Python personalizado y herramientas de prueba web como Selenium para simular las acciones del usuario necesarias para replicar el proceso de creación de usuarios en el registro.

paquetes NPM maliciosos

Para superar la barrera de verificación de la contraseña de un solo uso (OTP) establecida por NPM, el atacante aprovecha una herramienta de código abierto llamada Interactsh para extraer la OTP enviada por los servidores de NPM a la dirección de correo electrónico proporcionada durante el registro, lo que permite efectivamente que la solicitud de creación de cuenta tenga éxito.

Armado con esta nueva cuenta de usuario de NPM, el actor de amenazas procede a crear y publicar un paquete malicioso, solo uno por cuenta, de manera automática, pero no antes de generar un token de acceso para publicar el paquete sin requerir una contraseña OTP por correo electrónico.

"A medida que los atacantes de la cadena de suministro mejoran sus habilidades y dificultan la vida de sus defensores, este ataque marca otro hito en su progreso", dijeron los investigadores. "Al distribuir los paquetes entre varios nombres de usuario, el atacante dificulta que los defensores los correlacionen [y] los eliminen todos con 'un golpe'. Por eso, por supuesto, aumenta las posibilidades de infección".

Jesus_Caceres